OT.21

Playbook de respuesta — Rootkit en firmware de PLC

Área OT · Entornos industriales ICS/SCADA (propuesta TTPSEC) — Efecto: Persistencia avanzada

PICERL / NIST SP 800-61

Clasificación preliminar y orientativa. No constituye una decisión jurídica ni reemplaza la evaluación del encargado de ciberseguridad. Reporte oficial en portal.anci.gob.cl.

Técnicas MITRE asociadas

T0839 Module Firmware · MITRE ATT&CK ICS · confianza media

Fases de respuesta

P · PreparaciónAntes del incidente: controles y visibilidad

Implementar de forma preventiva: Verificación de integridad
Implementar de forma preventiva: monitoreo de comportamiento
Implementar de forma preventiva: reinstalación periódica
Implementar de forma preventiva: checksums firmados
Alinear los controles de base del incidente — ISO 12.2, ISO 14.2, CIS CIS 10, CIS CIS 3
Asegurar que la telemetría requerida esté activa y llegando al SIEM (ver mapa de visibilidad)

I · Detección y análisisIdentificar y dimensionar el ataque

Checksums de módulo alterados, comportamiento anómalo del controlador. Fuente: integridad.
Confirmar el alcance: sistemas, cuentas, datos y segmentos afectados
Desplegar y ejecutar las reglas del Códice de Detección de este incidente (Sigma, YARA, Suricata)

C · ContenciónLimitar el impacto de inmediato

Aislar el segmento OT afectado SIN detener el proceso sin evaluar la seguridad física
Coordinar con ingeniería de planta antes de cualquier acción de control
Pasar a control manual seguro si el proceso lo permite

E · ErradicaciónEliminar la causa raíz

Verificar y restaurar el firmware/lógica del controlador desde una copia autorizada
Eliminar el acceso del atacante a la red industrial
Reforzar mitigación: Verificación de integridad firmada, monitoreo de comportamiento y reflasheo controlado.

R · RecuperaciónVolver a operación normal de forma segura

Validar el proceso en condiciones seguras antes de volver a modo automático
Confirmar la integridad de PLC, HMI e historiadores
Confirmar que la telemetría y las detecciones vuelven a la normalidad

L · Lecciones aprendidasCerrar el ciclo y mejorar

Documentar causa raíz y línea de tiempo del incidente
Actualizar controles ISO/CIS/NIST para cerrar las brechas detectadas — ISO 12.2, ISO 14.2, CIS CIS 10
Crear o mejorar reglas de detección en el Códice para eliminar puntos ciegos

Obligaciones de reporte — Ley 21.663

3 horasAlerta temprana
1 díaActualización — OIV con servicio esencial afectado (OIV con servicio esencial afectado)
3 díasSegunda notificación (actualización)
7 díasPlan de acción — OIV (OIV)
15 díasInforme final

Controles de referencia

ISO/IEC 27002: 12.2 Protección contra malware; 14.2 Seguridad en desarrollo
CIS Controls v8.1: CIS 10 Recuperación de datos; CIS 3 Protección de datos

PLAYBOOK ANCI by TTPSEC · playbook.ttpsec.cl · Recurso independiente y educativo; no constituye una plataforma oficial de la ANCI.
Fuentes: Ley 21.663 (art. 9) · Resolución Exenta N.º 7/2025 · Reglamento de Reporte (Decreto 295/2024) · MITRE ATT&CK / ATLAS. Revisión 2026-07.